“특수문자를 꼭 넣으세요. 석 달마다 바꾸세요.” 오래 들어온 말인데, 지금 기준은 그 반대다. 한국과 미국이 같은 방향으로 바뀌었다.
개인정보보호위원회의 「개인정보의 안전성 확보조치 기준」(2026년 7월 1일 시행)에는 비밀번호를 어떻게 만들라는 규칙이 없다. 고시 전문을 찾아봐도 “작성규칙”이라는 말 자체가 나오지 않는다.
지금 남아 있는 건 제5조 제5항 한 줄이다.
여기서 “인증수단”은 로그인에 쓰는 수단을 말한다. 조합이나 변경 주기를 정해 두지 않고, 안전하게 관리하라는 원칙만 남겼다.
미국 표준기술연구소(NIST)가 만든 SP 800-63B는 전 세계 기업이 참고하는 지침이다. 2025년 7월 최종본 제3.1.1.2절이 이렇게 정한다.
억지로 섞게 하면 사람이 오히려 예측 가능하게 만들기 때문이다.
규칙이 안전을 높인 것이 아니라 패턴을 만들었다. 공격자가 노리는 것이 바로 그 패턴이다.
| 구분 | 기준 | 근거 |
|---|---|---|
| 비밀번호만으로 로그인 | 최소 15자 | 제3.1.1.2절 요건 1 |
| 2단계 인증까지 쓰는 경우 | 최소 8자 | 요건 1 |
| 서비스가 허용할 최대 길이 | 64자 이상 | 요건 2 |
| 유출된 비밀번호 목록 | 대조해서 걸러 낼 것 | 제3.1.1.2절 |
64자 조항은 이용자를 위한 것이 아니라 서비스에 대한 의무다. 길게 쓰려는 것을 막지 말라는 뜻이다.
주기적으로가 아니라 유출 정황이 있을 때다. 그때는 반드시 바꾸게 하라고 같은 조항이 정하고 있다.
되돌릴 수 없는 형태로 바꿔서 보관한다는 뜻이다. 비밀번호를 잊었을 때 알려 주지 못하고 재설정만 해 주는 이유가 여기에 있다. 만약 어떤 서비스가 내 비밀번호를 그대로 알려 준다면, 그 자체가 문제다.
| 무엇을 | 어떻게 |
|---|---|
| 길이 | 복잡함보다 길이가 먼저다 |
| 재사용 | 서비스마다 다르게 — 한 곳이 뚫려도 다른 곳이 열리지 않게 |
| 2단계 인증 | 문자 인증번호 등을 한 번 더 거치도록 켠다 |
| 변경 | 주기적으로가 아니라 유출 정황이 있을 때 |
이 글은 일반적인 기준을 정리한 것이다. 회사나 기관의 내부 규정은 이 기준과 다를 수 있으므로 소속 규정을 따라야 한다.